في ليلة 9 نوفمبر، تعرّضت Ethersphere، الشركة المطوّرة لـ Swarm، للاختراق. استولى المهاجمون على صلاحيات النشر الخاصة بالمشروع، ورفعوا نسخة خبيثة إلى القنوات الرسمية. ظلّت نسخة bee-js 13.3.0 على npm من 00:09 حتى 01:25، ولم تصمد سوى 75 دقيقة؛ أما Swarm Desktop 0.56.2 لسطح المكتب، فقد رُفعت إلى GitHub عند 00:36، ولم تُسحب إلا بعد ثماني ساعات ونصف.
والأشد إيلامًا أن النسختين بدتا شرعيتين تمامًا. فقد جاءت bee-js مصحوبة بإثبات صالح لمصدرها، وحمل مُثبّت إصدار macOS لسطح المكتب توقيع Apple وتوثيقها. كان البرنامج الذي نزّلته من الموقع الرسمي ولم يُصدر النظام أي تحذير بشأنه يخفي في داخله أداة تحميل تسرق المحافظ. نفّذ الهجوم حساب روبوت النشر الخاص بالمشروع، إلى جانب حساب أحد المشرفين القدامى.
يقوم الكود الخبيث بأمرين. أولًا، يسرق محفظة العقدة؛ فكلمة مرور إلغاء القفل محفوظة بنص صريح في config.yaml، وملف swarm.key هو ملف المحفظة المشفّر. وبجمعهما، تصبح المحفظة وأصول التخزين رهينة للمهاجم. ثانيًا، يزرع بابًا خلفيًا، ولم يسلم أي من الأنظمة الثلاثة.
يبدو أن نطاق التأثر محدود حتى الآن. وفقًا لإحصاءات Socket، حتى الساعة 08:27 من يوم 9، تم تنزيل إصدار سطح المكتب 65 مرة، وإصدار bee-js نحو 10 مرات. ولا أحد يعرف عدد الأجهزة المصابة، وحتى موعد نشر هذا الخبر لم تُؤكَّد أي حالة فقدان أموال. صدر الإصدار النظيف 0.56.3، وثُبّت إصدار bee-js على 13.2.0.
لكن العبرة لا تكمن في الأرقام. في السابق، كان الناس يظنون أن التحقق من الموقع الرسمي والتوقيع يكفي للحماية من التصيد. هذه المرة، استخدم المهاجمون القنوات الرسمية نفسها، وكانت التوقيعات والتوثيق وإثبات المصدر كلها سليمة؛ فلم تمنعهم برامج مكافحة الفيروسات ولا أنظمة التشغيل. لقد استهدفوا الحلقة التي تثق بها أكثر من غيرها.
إذا سبق لك تشغيل عقدة Swarm، فتحقق من رقم الإصدار أولًا. إذا كنت تستخدم إصدار سطح المكتب 0.56.2، فلا تكتفِ بالترقية. تقول الشركة رسميًا إن عليك اعتبار ذلك الجهاز مخترقًا بالفعل، ومفتاح العقدة مسروقًا بالفعل؛ غيّر العنوان والمفتاح، ونظّف الباب الخلفي على حدة. وحتى إن لم تثبّت Swarm من قبل، فلا تظن أن الأمر لا يعنيك؛ فكل محفظة على هاتفك تُحدَّث تلقائيًا تسلك القناة نفسها. وما يمكنك فعله اليوم هو إيقاف التحديث التلقائي للمحفظة واختيار التحديث اليدوي، ثم زيارة الموقع الرسمي قبل التحديث للتحقق مما إذا صدر إشعار بسحب الإصدار.
هل ما زلت تجرؤ على ترك برنامج محفظتك يُحدَّث تلقائيًا؟
—— كاي الصغير، مستثمر Web3 مبتدئ
هذا المحتوى لا يعبر إلا عن آراء شخصية، ولا يشكل نصيحة استثمارية. يُرجى التقييم بنفسك.